La salida del Reino Unido de la Unión Europea tiene implicaciones en protección de datos personales ya que pasa a ser considerado un tercer Estado y los flujos de datos hacia al reino Unido pasan a estar regulados por el régimen previsto para las transferencias internacionales de datos del RGPD y la LOPDGDD.
El Reino Unido cuenta con tradición en la defensa de la protección de datos personales, cuanta con autoridad de control en protección de datos y legislación en la materia. Es por ello que, desde el primer momento todas las partes apostaron por una Declaración de nivel adecuado de protección para legalizar los flujos de datos personales de la Unión Europea hacia el Reino Unido.
A continuación, indicaremos los pasos que se han ido tomando para lograr en un tiempo razonable este reconocimiento.
El 31 de enero de 2020 tuvo lugar la salida del Reino Unido de la Unión Europea y comenzó a aplicarse el Acuerdo de Retirada, que estuvo en vigor hasta el 31 de diciembre de 2020.
El Reino Unido ha dejado de ser miembro de la Unión Europea, pero según el Acuerdo de Retirada debe seguir aplicando el derecho de la Unión a todos los datos de interesados fuera del Reino Unido que se hayan tratado con anterioridad al fin del periodo transitorio. Ello implica que, a efectos de exportación de datos, la situación del Reino Unido sigue siendo equiparable a la de un Estado miembro.
Las empresas que estén transfiriendo datos al Reino Unido pueden seguir haciéndolo del mismo modo que lo hacían hasta ahora y es posible iniciar nuevas transferencias con los mismos criterios aplicados hasta la fecha mientras esté en vigor el Acuerdo de Retirada.
Las futuras relaciones entre la Unión Europea y el Reino Unido, también en materia de protección de datos, deberán establecerse en los acuerdos que comenzaron a negociarse a partir de la entrada en vigor del Acuerdo de Retirada.
El propio Acuerdo de Retirada se refiere expresamente a que «la Comisión Europea iniciará lo antes posible, tras la retirada del Reino Unido, las evaluaciones respecto de dicho país.
La autoridad de supervisión del Reino Unido ha seguido actuando como una autoridad europea más a todos los efectos en relación con los instrumentos de garantía para las transferencias internacionales de datos que el RGPD, así ha podido seguir actuando como autoridad principal a la que un grupo de empresas dirijan una solicitud de autorización de normas corporativas vinculantes (BCR, por sus siglas en inglés).
La única diferencia es que la autoridad de supervisión del Reino Unido no ha podido participar como miembro con derecho a voto en las reuniones del Comité Europeo de Protección de Datos donde se validan las decisiones que sobre estos instrumentos prevean adoptar las autoridades de supervisión de los Estados Miembro.
El conocido como acuerdo de Nochebuena de diciembre de 2020, ha establecido una prórroga de ese periodo transitorio de 4 meses prorrogable hasta 6 meses SIEMPRE Y CUANDO EL REINO UNIDO NO REALICE CAMBIOS SUSTANCIALES EN SU NORMATIVA!!!!!!!
Con ello se pretende dar tiempo a la Comisión Europea para realizar los trámites necesarios que concluyan en una Resolución de Nivel adecuado de protección. Y es de suponer que en el corto plazo se vea la luz al final del túnel, puesto que el pasado 19 de febrero la Comisión Europea ha publicado dos borradores para declarar el nivel adecuado de protección del Reino Unido, uno bajo el RGPD y otro para la Directiva 2016/680.
Y en estos momentos es en la coyuntura en la que nos encontramos. Deberemos estar atentos al desarrollo de los acontecimientos.
Francisco Ramón González-Calero Manzanares
Lead Advisor Internacional asuntos legales
Dentro del Marco legal europeo contamos con la conocida como la Directiva NIS 1 , cuyo objetivo es dar respuesta efectiva a los incidentes de seguridad y sistemas de la información.
Al tratarse de una Directiva su aplicación es armonizada, no homogénea o lo que es lo mismo, no tiene por qué haber una aplicación totalmente horizontal en todos los países de Europa, ¿Por qué?
Porque las Directivas europeas, son un tipo de norma que establecen marcos comunes en toda la UE de mínimos, en este caso se ha garantizado unas exigencias mínimas en materia de seguridad. Todas las Directivas, deben transponerse en cada país para que sean aplicables (aunque si no se llegara a trasponer es posible su aplicación directa hasta que se haga).
¿Qué significa trasponer una norma? Que cada país aprobará una norma interna de acuerdo con su sistema legislativo, recogiendo al menos lo que establece la directiva (contenido mínimo).
Hay que tener en cuenta que las Directivas son instrumentos legales más flexibles y quizás permiten llegar a acuerdos entre los estados miembros con más facilidad o rapidez, pero hace posible encontrar diferencias entre los distintos países siempre como mejora o generando un marco de seguridad más exigente.
Por diferenciarlo, la otra posibilidad hubiera sido regular el contenido de la Directiva a través de un Reglamentos europeos, que son de eficacia directa y su aplicación no requiere de ninguna trasposición. En estos casos, en consenso europeo debe ser mayor, puesto que todos los países aplicarían la misma norma y que hay ponerse todos de
Entonces, ¿En España ya tenemos una norma que ha traspuesto la Directiva NIS?
SI, efectivamente, la Directiva NIS se ha transpuesto al ordenamiento jurídico mediante el Real Decreto-ley 12/2018 de seguridad de las redes y sistemas de información.
El art. 25 de la Directiva NIS establecía el plazo máximo del 9 de mayo de 2018
y nuestra ley es septiembre de 2018, por lo que nos pasamos el plazo para su trasposición (made in Spain).
¿Qué dice está norma?
El Real Decreto-ley 12/2018 2 de seguridad de las redes y sistemas de información regula la seguridad de las redes y sistemas de información utilizados para la provisión de los servicios esenciales y los servicios digitales. Su contenido recoge lo dispuesto en la Directiva, por su puesto, ya que hemos dicho que es una trasposición de la Directiva.
Esta norma, desde una perspectiva integral, establece mecanismos que permiten mejorar la protección frente a las amenazas que afectan a las redes y sistemas de información, y fija un marco institucional de cooperación que facilita la coordinación de las actuaciones realizadas en esta materia tanto a nivel nacional como con los países de nuestro entorno, en particular, dentro de la Unión Europea.
Esta coordinación a nivel nacional y europeo es posible al provenir de una Directiva, que como indicábamos que obliga a generar un marco legal de mínimos en toda Europa.
Y ¿esto es todo?
No, también tenemos un nuevo RD Real Decreto 43/2021 *3 ,de 26 de enero, por el que se desarrolla el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información.
Pero entonces, ¿Por qué hay dos normas?
Porque el Real Decreto 43/2021, de 26 de enero, es una norma que desarrolla reglamentariamente el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información. Por lo tanto, es un reglamento que desarrolla la norma que ha traspuesto la directiva, regulando la misma materia, pero con contenido distinto.
En España, el Gobierno quedó habilitado para desarrollar reglamentariamente el RDL-12/2018 por la disposición final tercera, en lo relativo al marco estratégico e institucional de seguridad de las redes y sistemas de información, respecto del cumplimiento de las obligaciones de seguridad de los operadores de servicios esenciales y de los proveedores de servicios digitales y a la gestión de incidentes de seguridad.
En los reglamentos normalmente se aterriza más el contenido de las obligaciones con aspectos más prácticos establecidas en la ley que desarrollan.
¿Qué nos aporta esta nueva norma?
Este decreto, concreta los aspectos definidos por la Ley 12/2018 sobre las medidas necesarias para el cumplimiento de las obligaciones de seguridad por parte de los operadores de servicios esenciales entre los que se incluyen las infraestructuras críticas. Establece entre otros puntos, la obligatoriedad de designar un Responsable de Seguridad de la Información para los servicios esenciales, implantar la gestión de los riesgos para las redes y los sistemas de información de los servicios esenciales, aprobar la política de seguridad de las redes y los sistemas de los servicios esenciales y la adopción de las medidas a aplicar identificándolas en la declaración de aplicabilidad que debe ser suscrita por el RSI.
El Real Decreto desarrolla también la obligación de notificación por parte de los operadores de servicios esenciales de los incidentes que puedan tener efectos perturbadores significativos en dichos servicios, así como de los incidentes que puedan afectar a las redes y sistemas de información empleados para la prestación de los servicios esenciales aun cuando no hayan tenido un efecto adverso real sobre aquéllos, por referencia a los niveles de impacto y peligrosidad, según sea el caso, previstos en la Instrucción Nacional de Notificación y de Gestión de Incidentes. Por este motivo, durante el 2020 se publicó la actualización de la Guía Nacional de Notificación y Gestión de Ciberincidentes que realiza una revisión y mejora de la clasificación/taxonomía de los ciberincidentes, impactos y umbrales de notificación y las métricas e indicadores de referencia. Por otro lado, el Centro de Respuesta a Incidentes de Seguridad del Instituto Nacional de Ciberseguridad (INCIBE-CERT) ha publicado como un anexo el procedimiento de gestión de ciberincidentes para el sector privado y la ciudadanía que ofrece directrices y mecanismos, referencias y canales para la notificación de ciberincidentes al INCIBE-CERT.
Resumen de normas:
La nueva estrategia de ciberseguridad de la UE, ¿Va a cambiar en algo?
El 16 de diciembre de 2020 la Comisión Europea y el Alto Representante de la Unión para Asuntos Exteriores y Política de Seguridad presentaron la nueva estrategia de ciberseguridad de la UE *4. Asimismo, la Comisión presentó propuestas para abordar la resiliencia física y cibernética de las entidades y redes críticas: una Directiva sobre medidas para un alto nivel común de ciberseguridad en toda la Unión (Directiva NIS revisada o NIS 2), y una nueva Directiva sobre resiliencia de infraestructuras críticas. Cubren una amplia gama de sectores y tienen como objetivo abordar los riesgos actuales y futuros en línea y fuera de línea, desde ciberataques hasta delitos o desastres naturales, de una manera coherente y complementaria.
Contiene propuestas concretas para iniciativas normativas, de inversión y políticas, en tres áreas de acción de la UE:
• Resiliencia, soberanía tecnológica y liderazgo: Infraestructuras resilientes y servicios críticos, Asegurar la próxima generación de redes móviles de banda ancha, Internet de cosas seguras, …
• Desarrollar la capacidad operativa para prevenir, disuadir y responder: Unidad Cibernética Conjunta, Afrontar la ciberdelincuencia, Caja de herramientas de ciber diplomacia de la UE, …
• Promover un ciberespacio global y abierto mediante una mayor cooperación: Liderazgo de la UE en materia de estándares, normas y marcos en el ciberespacio, Cooperación con los asociados y la comunidad, Fortalecimiento de las capacidades globales para aumentar la resiliencia global.
En este contexto, la Comisión Europea ha presentado una propuesta de directiva sobre la resiliencia de las infraestructuras críticas *5 que desarrollan servicios en sectores estratégicos. Con esta propuesta, la Comisión tiene la intención de crear un marco de gestión de todos los riesgos para apoyar a los Estados miembros a garantizar que las entidades críticas puedan prevenir, resistir y recuperarse de incidentes relevantes, independientemente de si son causados por causas naturales, accidentes, terrorismo, amenazas internas o emergencias de salud pública como la que el mundo enfrenta hoy en día.
Entre las disposiciones destacables, se exigiría a las infraestructuras críticas que lleven a cabo sus propias evaluaciones de riesgos, adopten las medidas técnicas y organizativas adecuadas para aumentar la resiliencia y reporten incidentes a las autoridades nacionales. La Comisión también ha adoptado una propuesta para la revisión de la Directiva sobre las redes y los sistemas de información (NIS2)*6 , cuyo objetivo es garantizar una solidez cibernética en Europa. Con el fin de garantizar la alineación entre los dos instrumentos, todas las entidades críticas identificadas en virtud de la Directiva sobre resiliencia de las entidades críticas estarían sujetas a las obligaciones de ciber resiliencia en virtud de NIS2.
Es curioso, como podemos comprobar, que tenemos que poner en práctica un RD recién salido del horno (enero 2021) en el mes de enero que afecta a una Directiva del 2016, pero Europa, obvio, en 2021 ya se está planteando dar un Giro legislativo. Habrá que estar atentos a los próximos acontecimientos e intentar adaptarnos antes posible la próxima vez.
Equipo Govertis
Javier Cao y Sandra Ausell
1 VÉASE EUR-Lex – 32016L1148 – EN – EUR-Lex (europa.eu)
Con motivo del cambio de perspectiva al que nos estamos enfrentado, en un mundo globalizado, es necesario adaptar nuestra metodología de trabajo a un sistema digital. Asimismo, a la hora de realizar actividades en centro educativos como la impartición de clases online es importante establecer pautas o recomendaciones que nos faciliten el cumplimiento de los artículos 24 y 32 del Reglamento Europeo de Protección de Datos (RGPD).
Entre las medidas de seguridad que podrá adoptar el centro al convocar las reuniones es la verificación del listado de participantes a la formación. Por lo que, al inicio de la reunión, el organizador, o quien se acuerde con el centro educativo, se conectará a la actividad y procederá a la admisión de los asistentes de la sala de espera de la plataforma online y admitirá a aquellos previamente identificados en el listado del centro educativo.
Además, para evitar el reenvío de una convocatoria por los asistentes, la plataforma online podrá avisar al organizador de la reunión que el usuario ha reenviado la convocatoria, así como configurar la convocatoria para que no se pueda conectar a la misma usuarios “anónimos”.
En cuanto al cumplimiento de las obligaciones del deber de informar, se podrá articular una cláusula informativa en el correo electrónico de la convocatoria e incluir pautas o recomendaciones para los asistentes en relación con el desarrollo de las actividades formativas. Es importante resaltar que el centro educativo deberá informar de la actividad educativa y obtener la autorización de los alumnos y/o padres, madres y tutores para el uso de la imagen y voz de los asistentes a las clases. (arts. 13 y 14 RGPD y art. 11 Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales LOPDGDD) y Ley Orgánica 1/1982, de 5 de mayo, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen.
Entre las pautas y recomendaciones a incluir en la convocatoria de la sesión para impartir actividades formativas se encuentran:
Por último, en el supuesto que el centro escolar realice videograbación de la actividad educativa, tendrá en cuenta la proporcionalidad y la finalidad en el tratamiento, ya sea para identificar del alumno al inicio de la actividad educativa, ya sea para su uso posterior en la plataforma virtual del centro o para el uso de la evaluación por los profesores. El centro tendrá en cuenta seguir las Orientaciones de la AEPD sobre publicación de los documentos de identificación personal (disposición adicional 7ª LOPDGDD) en caso de publicación de los datos identificativos. Además, será importante determinar por el centro el plazo de conservación de las imágenes atendiendo al principio de minimización y proporcionalidad en protección de datos (art. 5 RGPD).
Después de la realización de la actividad educativa a través de la plataforma, el centro escolar tendrá en cuenta la eliminación de la convocatoria para que los usuarios no puedan acceder posteriormente a la sesión terminada. Por lo que el organizador de la formación cerrará la sesión de la plataforma educativa elegida.
En conclusión, con todas estas recomendaciones los centros educativos podrán realizar actividades formativas online garantizando en mayor medida el cumplimiento en la seguridad de la información y la protección de datos.
José A. Rueda
Equipo Govertis
La Directiva 95/46 ya contemplaba la excepción doméstica en su art 3.2 y establecía que “Las disposiciones de la presente Directiva no se aplicarán al tratamiento de datos personales efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas”. En su Considerando 12 concretaba “que debe excluirse el tratamiento de datos efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas, como la correspondencia y la llevanza de un repertorio de direcciones”.
El RGPD en su artículo 2.2 c) establece de modo idéntico que “El presente Reglamento no se aplica al tratamiento de datos personales c) efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas”.
Por su parte el Considerando 18 concreta que “no se aplica al tratamiento de datos de carácter personal por una persona física en el curso de una actividad exclusivamente personal o doméstica y, por tanto, sin conexión alguna con una actividad profesional o comercial. Entre las actividades personales o domésticas cabe incluir la correspondencia y la llevanza de un repertorio de direcciones, o la actividad en las redes sociales y la actividad en línea realizada en el contexto de las citadas actividades. No obstante, el presente Reglamento se aplica a los responsables o encargados del tratamiento que proporcionen los medios para tratar datos personales relacionados con tales actividades personales o domésticas”.
Por tanto, el RGPD, aun sin variar la literalidad en su articulado, nos aporta varias concreciones a través del Considerando 18 con respecto a la regulación establecida por la Directiva 95/46:
Con anterioridad a la aprobación del RGPD, el TJUE en la conocida Sentencia Lindqvist (C-101/01) ya afirmó en 2003 que la conducta consistente en publicar en una página web datos relativos a terceras personas, constituía un “tratamiento” a nivel de protección de datos, no quedando comprendido en ninguna de las excepciones del artículo 3.2 de la Directiva 95/46. Además afirmó que “la excepción debe interpretarse en el sentido de que contempla únicamente las actividades que se inscriben en el marco de la vida privada o familiar de los particulares; evidentemente, no es éste el caso de un tratamiento de datos personales consistente en la difusión de dichos datos por Internet de modo que resulten accesibles a un grupo indeterminado de personas”.
La AEPD se pronunciaba en su Informe 0615/2008 “En definitiva, para que nos hallemos ante la exclusión prevista en el artículo 2 LOPD, lo relevante es que se trate de una actividad propia de una relación personal o familiar, equiparable a la que podría realizarse sin la utilización de Internet, por lo que no lo serán aquellos supuestos en que la publicación se efectúe en una página de libre acceso para cualquier persona o cuando el alto número de personas invitadas a contactar con dicha página resulte indicativo de que dicha actividad se extiende más allá de lo que es propio de dicho ámbito”.
En dicho informe la AEPD cita la Sentencia de la Audiencia Nacional de 15 de junio de 2006 la cual afirma en su Fundamento de Derecho Tercero que:
En cuanto al uso de Redes sociales, el GT29 establecía en el Dictamen 5/2009 sobre las redes sociales en línea que “el tratamiento de datos personales por los usuarios corresponde en la mayoría de los casos a la exención doméstica, pero existen casos en que las actividades de un usuario no se benefician de esta exención”. Así por ejemplo, el GT29 entiende que se trasciende una actividad puramente personal o doméstica cuando:
El TJUE posteriormente (Caso RYNES C-212/13) ha establecido que la excepción debe ser interpretada en sentido estricto. “Tal interpretación estricta se fundamenta también en el propio texto de la disposición que acaba de citarse, según el cual la Directiva 95/46 no se limita a prever que sus disposiciones no se aplicarán al tratamiento de datos personales en el ejercicio de actividades personales o domésticas, sino que exige que se trate del ejercicio de actividades «exclusivamente» personales o domésticas”. Asimismo, recoge la conclusión del Abogado General de que “la excepción (…) únicamente se aplica al tratamiento de datos personales cuando éste se efectúa en la esfera exclusivamente personal o doméstica de quien procede al tratamiento de datos”.
Durante los años previos a la aprobación del RGPD, se discutieron varias opciones para reformar la redacción de la excepción doméstica. El SEPD sugirió en 2012 “insertar un criterio para diferenciar las actividades públicas y domésticas, basadas en el número indefinido de personas que pueden acceder a la información” (si bien puntualiza que “este criterio debe entenderse como una indicación”) y por tanto, siguiendo el criterio establecido en el caso Lindqvist. Por su parte, la Comisión Europea sugirió introducir el requisito del “interés lucrativo” (gainful interest), para diferenciar las actividades de tratamiento personales de las comerciales. Estas cuestiones fueron debatidas en la Comisión de Libertades Civiles, Justicia y Asuntos de Interior (LIBE) del Parlamento Europeo, que finalmente no adopta introducir el requisito del interés lucrativo y respecto al criterio del acceso por un número indefinido de personas, sugiere una redacción alternativa, “cuando pueda esperarse razonablemente que sólo tendrá acceso un número limitado de personas”.
El GT29 se pronunció posteriormente en 2013 en el Anexo 2 Proposals for Amendments regarding exemption for personal or household activities. El GT29 tampoco era partidario de incluir el requisito del “interés lucrativo” ya que entendía que actividades realizadas por particulares por el hecho de reportar un rendimiento económico, quedarían incluidas (ej ventas privadas en línea), y viceversa, actividades que trascienden el ámbito personal o doméstico pero no suponen una ganancia económica, podrían quedar incluídas en el ámbito de aplicación de la excepción y por tanto, fuera del ámbito de aplicación de la normativa de protección de datos. Por otro lado, consciente de los cambios que internet y las TIC han supuesto, posibilitando la compartición instantánea de datos personales por parte de cualquier persona, el GT29 propone una serie de criterios para ser incluidos en el Considerando del RGPD, que pueden ser utilizados para clarificar cuándo un concreto tratamiento de datos se realiza en el contexto de fines personales o domésticos. Puntualiza que dichos criterios no son determinantes per se pero una combinación de los mismos podría servir para determinar si un tratamiento queda incluido en el ámbito de la excepción o no. Dichos criterios (traducción no oficial) son:
Finalmente, la redacción definitiva adoptada por el RGPD sigue una línea continuista con la establecida por la Directiva 95/46 y no introduce grandes modificaciones ni criterios que pudieran servir de aclaración a los operadores jurídicos en relación a la aplicación de la excepción.
Ya aprobado el RGPD, el 30 de Noviembre de 2018, se realizó una petición al Parlamento Europeo solicitando concretar el alcance del artículo 2.2 c) del RGPD, a lo que la Comisión encargada contestó que:
El peticionario solicitaba la inclusión en el artículo 2.2 de las palabras «privado» y «no comercial», a lo que la Comisión encargada le contesta que “la adición de las palabras propuestas, coordinadas con la conjunción disyuntiva «o», podría entenderse incluso como una vía de extender la excepción a actividades «privadas» y «no comerciales» que rebasan las actividades meramente personales o domésticas y en cuyo marco puede ocurrir, por consiguiente, que se efectúa un tratamiento de datos personales de personas no pertenecientes al respectivo hogar. Tal extensión de la exceptuación de la aplicación de las disposiciones del RGPD podría poner en entredicho la protección de las personas en lo relativo al tratamiento de sus datos personales”.
Esto significa que el límite ha de provenir precisamente del hecho de no rebasar el ámbito de las actividades personales o domésticas y no del carácter del sujeto que realiza el tratamiento de datos. Si se hubiera querido excluir del ámbito de aplicación a las actividades realizadas por personas físicas, es decir, las actividades personales en general y sin distinguir el marco o dimensión en que se realizan, se les habría excluido directamente del ámbito subjetivo de aplicación.
El Consejo de Europa publicó en 2018 el Handbook on European Data Protection elaborado junto con la Agencia de los Derechos Fundamentales de la UE (FRA), el Supervisor Europeo de Protección de Datos y el Tribunal Europeo de Derechos Humanos. Se afirma que “El acceso de los ciudadanos a internet y la posibilidad de utilizar plataformas de comercio electrónico, redes sociales y blogs para compartir información personal acerca de sí mismos y de otras personas hace que sea cada vez más difícil distinguir el tratamiento de datos para actividades personales del tratamiento de datos para actividades no personales. La consideración de las actividades como puramente personales o domésticas depende de las circunstancias”. “(…) es crucial que los usuarios sean conscientes de que subir información de otras personas sin obtener su consentimiento puede violar los derechos a la privacidad y la protección de datos de esas personas”.
Los casos del TJUE, Lindqvist y Rynes, son citados por el Comité Europeo de Protección de Datos en sus Guidelines 3/2019 on processing of personal data through video devices, al hablar de la exención doméstica en el ámbito de la video vigilancia.
También son citadas dichas sentencias del TJUE por nuestro Tribunal Supremo en Sentencia Núm 815/2020 de 18/06/2020, que tiene en cuenta la interpretación estricta de la excepción. El TS afirma que “son dos los requisitos legales para que entre en juego la cláusula de exclusión, que el tratamiento de datos lo haga un particular y que lo haga en el marco de una actividad exclusivamente particular o doméstica”.
Siguiendo el criterio fijado en la Sentencia Lindqvist, la Guía de Videovigilancia de la AEPD en relación a las cámaras on board, establece que las grabaciones para una finalidad “doméstica” estarían exceptuadas de la aplicación de la normativa de protección de datos. Por ejemplo, el uso de estas cámaras en los cascos de un ciclista o motorista, que fuesen tomando imágenes paisajísticas. “No obstante, su uso posterior, como por ejemplo, la publicación de las grabaciones en internet quedaría sometido a la normativa de protección de datos”. También afirma la AEPD que “sobre la aplicación de esta excepción doméstica, no podrán entenderse exceptuados aquellos supuestos en los que la información tratada sea puesta en conocimiento de un número indeterminado o indefinido de personas”. Asimismo, “tampoco se aplica la excepción en aquellos casos en los que el tratamiento de estos datos pueda lesionar los derechos e intereses de las personas. A tal efecto, debe tenerse en cuenta que la utilización de las tecnologías de la información y las comunicaciones puede dar lugar a que un tratamiento de los datos inicialmente vinculado con la vida privada de quien lo realiza pueda implicar un acceso a información de un tercero que éste no desea que sea del dominio público”.
¿Quiere decir todo lo anterior que los datos obtenidos con motivo de actividades personales o domésticas, al quedar fuera del ámbito objetivo de aplicación de la norma, ya no pueden quedar protegidos por la misma?
La Audiencia Nacional en Sentencia (Núm de Recurso 481/2012) de fecha 26/09/2013 da respuesta a esta cuestión afirmando que sí son objeto de protección por parte de la normativa de protección de datos, pero de forma diferente, pues en relación a los datos personales (lista de contactos) que puede contener un teléfono móvil, el hecho de quedar incluidos dentro de la excepción doméstica no significa que los datos queden exentos de protección en el sentido de que el acceso al terminal sea libre por no quedar sujeto al régimen protector de la Ley.
Es un hecho que el desarrollo de la sociedad y la forma en que las personas interactuamos con las tecnologías han multiplicado de forma exponencial las situaciones que pueden suponer precisamente rebasar ese ámbito personal o doméstico, razón por la cual hemos podido conocer resoluciones sancionadoras de la AEPD en las que considera responsable del tratamiento a una persona física por exceder el tratamiento de datos realizado de una actividad personal o doméstica (PS/00334/2019 sanción de 10.000 eur). No obstante, sancionar a particulares no es una novedad, pues en el ámbito de videovigilancia ya habíamos conocido sanciones a particulares por captar imágenes de la vía pública y por tanto, trascender ese ámbito personal o doméstico, tal y como se estableció en el Caso RYNES por el TJUE (R/02869/2013 sanción de 2.000 eur, PS/00055/2012 diversas sanciones 2000 €, 900 € y 1000€).
El RGPD no ha introducido novedades en la materia, a pesar de las propuestas de modificación discutidas en durante su tramitación, sino únicamente puntualizaciones y actualizaciones a través del Considerando 18 que refuerzan lo establecido en su articulado y son coherentes con la interpretación que los Tribunales y el GT29 han venido realizando hasta la fecha, si bien es cierto tampoco incluyó los criterios sugeridos por el GT29 para clarificar su aplicación por parte de las autoridades de control y Tribunales.
En ocasiones, no resulta sencillo discernir cuándo estamos ante actividades privadas que sean exclusivamente personales o constituyan una actividad meramente doméstica, pero debemos tener en cuenta que ese ámbito personal o doméstico, puede ser rebasado. Es por ello que el ámbito objetivo de la excepción doméstica debe analizarse caso por caso en función de las concretas circunstancias, teniendo en cuenta que no será suficiente que el tratamiento de datos lo realice un particular, sino que, además, deberá circunscribirse en el marco de una actividad exclusivamente particular o doméstica y todo ello interpretado en sentido estricto tal y como ha establecido la Jurisprudencia del TJUE.
María Loza Corera
Lead Advisor en Govertis
@Mlozac
Cuando desarrollamos tanto proyectos basados en la adecuación o cumplimiento y debemos presentar Planes de tratamiento o simplemente necesitamos mejorar el entorno de Seguridad de la información, hay uno que no falla y casi aparece (o por lo menos en mis proyectos he debido proponerlo) y debemos considerar; el Hardening (Endurecimiento), como veremos a continuación, cuando establecemos el Hardening como una de las iniciativas de protección podemos definir diferentes actividades que, si las miramos de manera global, generaran un impacto positivo.
Antes que nada y para quienes no lo conozcan, el Endurecimiento de la Infraestructura o Hardening, es una medida de protección o plan de tratamiento, conforme sea el caso, que es ejecutada por el personal a cargo de la infraestructura «los fierros» y busca realizar ajustes con el objetivo de dificultar la realización de acciones maliciosas, o contar con las suficientes pistas en caso de que algo ocurra.
Cuando nace como una iniciativa de tecnología, es el propio personal de TI el que busca la manera de realizar la implementación, considerando las buenas prácticas (que hay muchas), por otro lado cuando se realiza por temas de cumplimiento o adecuación estas medidas vienen socializadas por los responsables de Seguridad de la información, y he aquí uno de los primeros beneficios, cuando proponemos el Hardening como responsables de Seguridad de la información tenemos la oportunidad de colaborar con TI generando sinergia.
Si bien existen diferentes formas de abordarlo son 4 puntos básicos los que debemos considerar y que vamos a identificar como oportunidades de implementación de controles listados en el Anexo A de la norma ISO/IEC 27001:2013.
Si lo analizamos adecuadamente el concepto de Hardening es aplicable tanto a sistemas operativos, servicios o aplicaciones y como lo hemos visto en este corto planteamiento, es una medida de control que requerirá un tiempo para que madure y, adicionalmente, necesitaremos la colaboración posiblemente constante de roles de auditoria o control (A.18.2.3) para que se este tipo de proyectos o iniciativas sean parte del día a día de la organización.
Jorge Guerrón
Equipo Govertis
Mal que nos pese, este 2020 que ya ha tocado a su fin ha venido marcado por la grave crisis sanitaria derivada de la pandemia de la COVID-19. De entre los múltiples retos que la sociedad ha tenido que abordar como consecuencia de la situación acaecida, la protección de datos ha ocupado un lugar destacado, habiendo tenido que realizar los profesionales de la privacidad -y Delegados de protección de datos en particular- un auténtico “tour de force” para dar respuesta a las cuestiones que se han ido planteando con cada iniciativa surgida para combatir la propagación del virus, las cuales casi siempre tenían implicaciones relevantes en lo que al derecho fundamental a la protección de datos se refiere.
Desde este Blog, y a través de una serie de artículos, hemos ido tratando de dar respuesta “en tiempo real” a los casos más destacados, así como en los distintos eventos del Club DPD, que ineludiblemente han versado sobre cuestiones relacionadas con la privacidad en la pandemia.
Ahora que, por fin, llega el epílogo del 2020, mostramos a modo de resumen y de forma gráfica los principales hitos. Son todos los que están, pero no están todos los que son. Se destacan aquellas cuestiones que entendemos más relevantes en relación con la protección de datos.
De este conjunto de iniciativas anti-COVID y la forma en la que se ha abordado su encaje en la normativa de privacidad, podemos extraer una serie de conclusiones principales:
El Reglamento General de protección de datos también lo es para permitir su libre circulación. El RGPD tienen un espíritu abierto y flexible, y en sus considerandos y artículos se contemplan expresamente situaciones como la actual. Por tanto, se puede cumplir con el RGPD y la LOPDGDD, y, por tanto, garantizar el derecho a la protección de datos personales, mientras se combate la pandemia. Existen unos límites, pero como ocurre con cualquier otro ámbito de actuación donde entren en conflicto derechos y libertades que hay que ponderar.
Aún así, hay que advertir que la legislación actual se configura como una herramienta útil pero insuficiente. En muchos de los retos afrontados se ha echado en falta una regulación específica de los legisladores nacionales, que permitiera dotar de mayor seguridad a los responsables y encargados de tratamiento y ofrecer mayores garantías a los ciudadanos.
En la mayoría de casos o retos afrontados, los tratamientos encontraban en las normas causas o bases de licitud y legitimación (intereses vitales, interés público esencial, cumplimiento obligaciones legales, …). La clave radicaba en la proporcionalidad de las medidas y las garantías necesarias, para lo cual es esencial que las determinen las leyes y las autoridades sanitarias. Por tanto, la proporcionalidad de las acciones llevadas a cabo por los distintos agentes en los tratamientos excepcionales llevados a cabo, así como el papel que han jugado las autoridades, en especial las sanitarias, o colectivos como los servicios de prevención de riegos de las empresas, han demandado una mayor concreción por parte del legislador, que bien podría haberse materializado en los distintos instrumentos normativos publicados durante la pandemia. En definitiva, una norma que proveyera de un mayor nivel de concreción sobre el alcance de los tratamientos de datos personales en circunstancias como las derivadas de la COVID-19.
Privacidad como valor al alza: cada vez se ve más como una ventaja competitiva. En este sentido, también ha salido reforzada la figura del Delegado de protección de datos, como elemento esencial en el cumplimiento de los principios y obligaciones en las organizaciones, y en la necesaria atención especializada de los retos planteados.
Javier Villegas
Equipo Govertis
En la actualidad, entre las medidas adoptadas para combatir la propagación de la Covid-19, las federaciones, clubs u otros colectivos del deporte base o categorías inferiores han restringido el acceso a las instalaciones deportivas a padres, madres, familiares y aficionados, en general. De este modo, en función del tipo de instalación, no pueden ver nada de los entrenamientos o partidos o, en su caso, pueden ver una parte o la totalidad del espacio de juego, en ocasiones echando mano del ingenio.
Ante esto, muchas entidades deportivas han decidido grabar los entrenamientos y encuentros, para ser retransmitidos en streaming o en diferido. Dado que la captación de imágenes por medio de las cámaras se efectúa, principalmente, sobre personas físicas, identificadas o identificables, obliga a considerar en qué términos está legitimada, para que no afecte a los derechos y libertades fundamentales.
A estos efectos, atendemos al Dictamen CNS 3/2015 de la Agencia Catalana de Protección de Datos, en relación a las grabaciones en instalaciones deportivas municipales, en el que nos dice que, si la captación y la grabación de imágenes de personas realizando la práctica de un deporte tuviera lugar de manera meramente accesoria en un evento público, como puede ser un encuentro deportivo, el tratamiento de estos datos personales estaría habilitado conforme a las previsiones de la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen.
Ahora bien, si las imágenes de personas captadas en estos espacios no aparecieran de manera meramente accesoria, habría que contar con el consentimiento de los afectados. Así, añade el dictamen que, a diferencia de los encuentros, “en el caso de los entrenamientos no parece que puedan considerarse como un «evento público» y su grabación claramente conllevaría la captación continua y no accesoria de las imágenes de las personas que los efectúan y que pueden tener al respecto unas justificadas expectativas de privacidad. En este caso, no se podría considerar que las previsiones de la LO 1/1982 son una habilitación legal suficiente a los efectos de permitir el tratamiento sin consentimiento de los afectados”.
Sentado esto, cabe decir que los entrenamientos y partidos de equipos de categorías inferiores, a priori, no tienen el interés público asociado a la práctica profesional. De modo que, no contando con habilitación legal suficiente, habría que solicitar el consentimiento previo de los afectados [artículo 6.1.a) RGPD] o, en su caso, tratándose de menores de 14 años, de los titulares de la patria potestad o tutela [artículo 7 LOPD-GDD].
Patrick Monreal
Equipo Govertis
Los chatbots o bot conversacional son sistemas informáticos cuya funcionalidad es poder mantener una interacción con el ser humano. A través de este programa, el usuario es capaz de mantener una conversación en línea con una persona a partir de determinadas respuestas automáticas. El citado software, tiene una serie de respuestas preparadas de antemano, y de esta manera, destaca por su inmediatez. Actualmente son utilizados por las compañías para poder interactuar con sus clientes o potenciales clientes, y así responder de forma ágil a las preguntas que se formulen sobre el servicio.
Para poder realizar su función de interacción con el usuario, el programa deberá procesar y almacenar la información que le facilita el usuario, entre dicha información se pueden contener datos de carácter personal. Un dato de carácter personal es toda información identificada o identificable referente a una persona física. Es por ello que, podrá almacenar datos personales de diferente tipo: desde un nombre, apellidos, dirección… a determinados datos de salud, religión etc. (considerados datos de categoría especial).
Si se va utilizar este sistema, deberá tenerse en cuenta las siguientes implicaciones en materia de protección de datos:
Además, debemos recordar que todas estas cuestiones deberán plantearse de manera previa a la implantación del sistema. Para cumplir con el principio de privacidad desde el diseño, el Responsable del tratamiento deberá estudiar todas estas implicaciones de forma previa y evaluar los riesgos derivados. Para ello, si fuera necesario, aplicará una serie de controles para que el servicio ofrecido se pueda desarrollar sin problemas jurídicos sobre la protección de datos de los usuarios que lo vayan a utilizar.
Marcos Rubiales
Equipo Govertis
El uso de nuevas tecnologías resulta de mucha utilidad para la realización de una gran variedad de tratamientos de datos personales y en concreto, para aquellas actividades que se utilizan para desarrollar campañas publicitarias y prospección comercial, puesto que aplican técnicas de marketing digital con el objetivo de llegar a un público más personalizado y por tanto, obtener un mayor éxito en las ofertas de productos o servicios.
La pregunta es porqué la nueva Ley de Protección de Datos y Garantía de Derechos Digitales, 3/ 2018, de 5 de Diciembre, (LOPDGDD) fija de manera obligatoria para estas actividades, por lo tanto, para las compañías que se dedican a dichas funciones, nombrar un Delegado de Protección de Datos.
La ley, es muy clara, en este sentido, pues conforme establece su artículo 34, “Los responsables y encargados del tratamiento deberán designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso cuando se trate de las siguientes entidades:
Si se observa, la Ley no obliga a todas las empresas que se dediquen a las actividades publicitarias y de prospección comercial a nombrar a un delegado de protección de datos, sino, solo a aquellas que realizan actividades que permiten conocer las preferencias de las personas o que elaboren perfiles. Esto es lo que claramente, marca la línea divisoria entre designar un delegado de protección de datos de manera obligatoria o voluntaria, tener y buscar o vigilar los gustos y hábitos de vida para elaborar perfiles debido al conocimiento de las preferencias personales de los usuarios.
Si en la actividad publicitaria no se realizaran perfilados, el delegado de protección de datos, podrá designarse por las compañías de una manera voluntaria, aunque siempre constituye una garantía de cumplimiento y de Responsabilidad Proactiva del Responsable del tratamiento, a tenor del Reglamento Europeo de Protección de Datos 2016/ 679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46.
Para poder entender un poco mejor, en qué consiste la elaboración de perfiles, se trata de cualquier forma de tratar los datos personales de manera que consiguen evaluar aspectos y preferencias de nuestra vida privada, como, por ejemplo, lo que nos gusta comer, o donde preferimos ir de vacaciones, en que tiendas compramos más, o en qué momento vamos a tal restaurante, es decir, se realiza una vigilancia de nuestros movimientos, comportamientos, salud o preferencias de cualquier tipo.
(fuente imagen: adveischool)
Es precisamente esta circunstancia de vigilancia de nuestros hábitos que realizado sobre un número de personas muy elevado, se denomina “tratamiento de datos personales a “gran escala” o “perfilado a gran escala” , piensen por ejemplo en una gran cadena internacional de alimentación, ya que se recogen gran cantidad y variedad de datos personales (Big Data) , con la ayuda de la Inteligencia Artificial (IA).
Este tratamiento de datos, en sí mismo, comporta riesgos especialmente relevantes (alto riesgo), para los derechos y libertades de las personas que hace necesario y obligatorio designar un delegado de protección de datos, precisamente para tomar medidas que reduzcan, dentro de lo posible, el riesgo de dañar o perjudicar a las personas, o afectar negativamente sus derechos y libertades, impidiendo o limitando su ejercicio o contenido.
Como se puede deducir, el Big Data tiene un fuerte impacto sobre nuestra privacidad, ya que las predicciones sobre las que se basan para toma de decisiones, serán mejores cuantos más datos personales se recojan, por lo tanto, cuanto más sepan de nosotros y más tiempo se tratan dichos datos, más se puede ver comprometida nuestra vida privada, ello hace que la normativa exige unas determinadas garantías para poder llevar a cabo dichos tratamientos personales que resultan más intrusivos.
La Inteligencia Artificial, junto con el Big Data, juegan un papel fundamental en esta recopilación de información personal, pues gracias a ella se utilizan sistemas que muestran un comportamiento inteligente que analiza el entorno y realizar acciones con cierto grado de autonomía, para lograr un objetivo específico, por las empresas que llevan a cabo actividades de publicidad comportamental, partiendo lógicamente desde el conocimiento de nuestras preferencias personales, intereses, fiabilidad o ubicación y movimientos
Por todo lo anterior, entendemos por qué la legislación en materia de protección de datos, obliga a todas aquellas empresas que realicen prospección comercial y publicidad que implique la elaboración de perfiles, o el tratamiento se base en las preferencias de los afectados , nombrar un delegado de protección de datos, por ser experto en la materia, cuya función será, entre otras muchas, la de vigilar y poner la debida atención a los riesgos asociados a las operaciones de tratamiento, por considerarse intrusivas para nuestra privacidad, teniendo sobre todo en cuenta la naturaleza de los datos que traten, así como su alcance, contexto, y finalidad del tratamiento.
Autora: Carmen Lopez Belda.
Associate-Legal & Privacy Advisor en Govertis-Telefónica
IT Lawyer
@LopezBelda
https://www.linkedin.com/in/carmenlopezbelda
23 de Noviembre 2020
https://www.aepd.es/sites/default/files/2019-12/wp251rev01-es.pdf
No cabe duda de que vivimos en una era de ciberseguridad evolutiva, en la que cualquier corporación ya sea mercantil, gubernamental u organización sin fines lucrativos, conlleva un alto nivel de protección, no sólo del activo más importante en una organización, que es su información hoy en día, sino también la protección de nuestra vida digital.
Dentro de este marco, no es menos importante la seguridad en los accesos a la información, dispositivos o aplicaciones locales o web. La llave que nos brinda el paso a todo ello, son nuestras contraseñas, a menudo gestionadas por los mismos usuarios de distintos niveles de perfil técnico.
Ante la necesidad de los constantes cambios de contraseñas para mejorar el cifrado en el acceso, surge en los usuarios “la presión añadida” de memorizar o almacenar (en ocasiones de forma rudimentaria y poco segura) estas claves.
Para aumentar la calidad del trabajo TI, es casi imprescindible automatizar este proceso, aún más cuando precisamos cumplir con auditorias de seguridad como PCI (Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago (Payment Card Industry Data Security Standard).
Existen multitud de software gestores que cuentan con funcionalidades diversas como:
Con estas herramientas eliminamos el tedioso hábito de memorizar infinidad de contraseñas, recurriendo a menudo a la errática costumbre de asociarlo con fechas o elementos privados para poder recordarlos o en otros casos anotarlos en archivos de Word o de anotaciones de fácil acceso.
Con esta concienciación y el uso de backups programados de la base de datos donde se alojan nuestras claves, la seguridad se incrementa exponencialmente, aportando calidad en el trabajo diario, relacionado directamente con el resultado que espera el consumidor final de nuestra actividad empresarial.
Algunos consejos para la creación de contraseñas cuando no son generadas automáticamente pueden ser estos:
Este es un concepto más de seguridad, que debe estar respaldado por un Firewall, Políticas de Seguridad y restricciones.
Rocío Bremón
Equipo Govertis